清晰签名：Cyfrin 发现隐藏字段

在2026年7月底，审计公司 Cyfrin 对 1inch 的清晰签名进行了多项缺陷评估，严重程度被评为 << 高 >>。因此，某些字段，包括接收用户投入资金的合约，并未在钱包屏幕上显示。截至10月12日，这些显示规则仍然在公共登记中。它们涵盖了 1inch V6 路由器在 13 个网络上的应用，包括以太坊。

简要概述

• 13 个网络：这是包括以太坊在内的应用 1inch V6 路由器审计描述符的区块链数量。
• 2 个 << 高 >> 缺陷：Cyfrin 在该描述符中发现了两个缺陷，其中一个字段指定了接收您资金的合约。
• 无任何认证：V6 路由器的描述符在登记中未获得任何审计验证。
• 2026年5月12日：当天，Ledger 将清晰签名交给了以太坊基金会。

清晰签名，回应 Bybit 被黑事件

根据 FBI 的说法，2025 年 2 月 Bybit 的创纪录黑客事件使该平台损失了约 15 亿美元。FBI 还将此盗窃归咎于朝鲜。根据 CertiK 的分析，Safe{Wallet} 界面显示了一笔合法交易。然而，发送给 Ledger 签名的数据却是不同的。Bybit 的首席执行官表示，他并未在设备屏幕上验证这些数据。CertiK 在此提到盲签名。

清晰签名正是为了解决这个问题。它将交易数据以明文形式显示在您的加密钱包屏幕上。Ledger 于 2023 年推出了这一功能，并在 ERC-7730 标准提案中进行了正式化。随后，在 2026 年 5 月 12 日，该公司将其管理权交给了以太坊基金会。MetaMask、Trezor、WalletConnect 和 Cyfrin 参与了工作组。

该系统基于称为描述符的公共文件。每个描述符指示钱包应显示交易的哪些字段，以及以何种标签显示。因此，标记为 << never >> 的字段将永远不会出现在屏幕上。

接收您资金的合约可能保持不可见

1inch 是一个去中心化交易聚合器。Cyfrin 对其多个描述符进行了审计。票据编号 2688 针对 V6 路由器的主要描述符。根据审计员的分类，它确实包含两个高严重性和三个中等严重性的发现。

第一个发现涉及屏幕上隐藏的 clipperExchange 参数。它实际上指定了接收用户资金的合约。它是提供该参数的函数的调用者。根据 Cyfrin 的说法，钱包因此显示了一个正常的交易屏幕，而没有显示接收资金的合约。

第二个高严重性发现涉及同样被隐藏的 args 字段。在某些订单执行模式下，它可能包含接收购买资产的地址。用户可以看到确切的金额，而资产却流向一个他看不见的地址，审计员指出。

还有两个中等严重性的发现也与显示有关。首先，订单金额总是显示为 << 待售 >>。然而，路由器的某种模式将其视为待购金额。其次，permitAndCall 函数隐藏了一项支出授权，可能会指定代币、被授权支出的地址、金额和到期时间。最后，最后一个中等严重性发现涉及 Sourcify 尚未验证的部署。

1inch 的清晰签名在 13 个网络上保持不变

Un ticket voisin, le n° 2690, visait la version zkSync du routeur. Ce descripteur de neuf lignes renvoyait au même fichier commun que la version principale. Les mainteneurs l'ont retiré du registre le 22 septembre. Le motif tient en effet à la vérification. Sourcify, l'outil de contrôle du code utilisé par le registre, ne sait pas encore vérifier le code compilé pour zkSync. Ce retrait ne corrige donc pas les règles d'affichage.

Or la branche principale du registre, consultée le 12 octobre, contient toujours ces règles. Le fichier commun et le descripteur principal datent, dans leur version actuelle, du 10 avril 2026. Ils s'appliquent au routeur V6 sur 13 réseaux, dont Ethereum, Arbitrum, Base, BNB Chain et Polygon. Le descripteur de la version précédente, V5, masque aussi clipperExchange sur six réseaux.

Un troisième audit, le n° 2689, concerne les ordres signés hors chaîne, au format EIP-712. Le descripteur y masque le champ makerTraits. Il peut contenir la date d'expiration de l'ordre et une restriction sur l'adresse autorisée à l'exécuter. Cyfrin classe également ce constat en gravité élevée.

Une attestation ne garantit pas le sens affiché

Le registre prévoit un garde-fou, l'attestation. Le projet de standard ERC-8176 définit ce mécanisme. Il permet à un auditeur de signer un descripteur qu'il a examiné. Le 17 août, le registre a intégré des attestations de Cyfrin pour 181 descripteurs.

Dans le dossier 1inch, seules les anciennes versions V3 et V4 du routeur en portent une. En revanche, les descripteurs V6 n'en ont pas. Dans l'audit n° 2689, Cyfrin relève l'absence de vérification du code sur cinq réseaux : << la condition d'attestation n'est pas remplie >> (traduction de la rédaction). ERC-8176 laisse ensuite à chaque wallet le choix des auditeurs auxquels il se fie.

Toutefois, même attesté, un descripteur peut induire en erreur. Le projet ERC-8176 l'écrit dans sa section consacrée aux limites du dispositif.

La vérification de la signature ne valide pas l'exactitude sémantique. ERC-8176, Descriptor Attestations for ERC-7730, projet de standard

Une autre limite tient aux contrats évolutifs, ou proxys. Un proxy garde son adresse, mais son code peut changer. Une analyse publiée en septembre recensait 80 descripteurs liés à des proxys sur 382, au 5 septembre. Les mainteneurs ont alors choisi de les conserver et de traiter le problème dans le standard lui-même.

Ce que le clear signing affiche, et ce qu'il omet

Le registre corrige aussi des défauts. Le 25 septembre, un correctif a visé un autre descripteur de 1inch, pour les ordres à cours limité de son Limit Order Protocol v2. Selon son message, les wallets qui reconnaissent les descripteurs par le type signé ne pouvaient pas l'appliquer. Les utilisateurs signaient donc ces ordres << à l'aveugle >>.

Pour l'utilisateur, un écran lisible n'affiche que les champs retenus par le descripteur. Ainsi, l'absence d'un destinataire ou d'une date d'expiration ne se voit pas. Cyfrin recommande d'afficher ces champs ou de retirer la description. Dans ce second cas, le wallet revient à une signature brute, sans donner une impression de clarté. Aucun des tickets consultés ne fait état d'une perte d'utilisateur liée à ces descripteurs. Notre guide sur le wallet crypto le plus sécurisé détaille les autres protections disponibles.

Au 12 octobre, les deux descripteurs V6 audités encore présents dans le registre restent inchangés. Le troisième, pour zkSync, a quitté le registre sans correction. Pour le champ makerTraits, la correction proposée par Cyfrin modifie une seule ligne du fichier, pour rendre le champ visible. [À COMPLÉTER : réponse datée de 1inch, de Cyfrin ou des mainteneurs du registre, ou mention des sollicitations restées sans réponse] Côté proxys, la proposition n° 1738 n'est pas encore intégrée au standard. Kaan Uzdoğan, coauteur d'ERC-7730, a indiqué sur GitHub qu'il attendait d'autres relectures avant de l'approuver.